Microsoft cherche à mieux protéger les travailleurs hybrides se connectant à son service Azure Active Directory (AD) via des points de terminaison iOS ou Android (s’ouvre dans un nouvel onglet) contre le phishing et le mot de passe (s’ouvre dans un nouvel onglet)– attaques de vol.
La société a introduit une nouvelle méthode d’authentification pour le service d’identité d’entreprise qui, selon elle, est une authentification sans mot de passe basée sur des certificats (CBA), activée via la clé de sécurité matérielle YubiKey, construite par Yubico.
Selon l’annonce de Microsoft, l’outil offrira aux utilisateurs mobiles une solution de connexion certifiée FIPS (Federal Information Processing Standards), entièrement résistante aux attaques de phishing.
Authentification simple et sécurisée
« Le décret américain 14028 sur la cybersécurité exige l’utilisation d’une MFA résistante au phishing sur toutes les plates-formes d’appareils. Sur mobile, alors que les clients peuvent fournir des certificats utilisateur sur leur appareil mobile personnel à utiliser pour l’authentification, cela est principalement possible pour les appareils mobiles gérés. Mais cette nouvelle préversion publique déverrouille la prise en charge du BYOD », a écrit Vimala Ranganathan, chef de produit de Microsoft Entra, dans le billet de blog. (s’ouvre dans un nouvel onglet) annonçant les nouvelles fonctionnalités.
Avec la nouvelle solution, les utilisateurs de Microsoft AD pourront fournir des certificats avec une clé de sécurité matérielle, leur permettant de s’authentifier facilement sur les appareils mobiles. Les utilisateurs iOS d’Apple doivent s’enregistrer via l’application Yubico Authenticator et copier le certificat public dans le trousseau iOS. Après cela, ils peuvent sélectionner le certificat YubiKey pour se connecter et entrer le code PIN.
Pour les utilisateurs d’Android, Microsoft a déclaré que la prise en charge d’Azure AD CBA avec YubiKey sur mobile Android est activée via la dernière MSAL. Les utilisateurs d’Android n’ont pas besoin de l’application YubiKey Authenticator, car ils peuvent brancher leur YubiKey via USB, lancer Azure AD CBA, choisir le certificat de YubiKey, saisir le code PIN et s’authentifier.
Microsoft affirme que cette méthode d’authentification minimise les risques de vol d’informations d’identification et d’usurpation d’identité, par hameçonnage ou ingénierie sociale.
« La solution basée sur des certificats mobiles de Microsoft associée aux clés de sécurité matérielles est une méthode MFA simple et pratique, certifiée FIPS et résistante au phishing », a conclu Ranganathan.